QTECH QSW-3500 - Инструкция (Страница 208)

+7(495) 797-3311 www.qtech.ru
Москва, Новозаводская ул., 18, стр. 1
208
Глава 23 Настройка ARP GUARD
23.1
Введение в ARP GUARD
Существует серьезная уязвимость в модели ARP протокола, которая заключается в том,
что любое сетевое устройство может отправить ARP сообщение, чтобы объявить о
связке IP и MAC адресов. Это делает возможным ARP мошенничество. Злоумышленники
могут послать ARP запрос или ARP ответ чтобы информировать о неверной связке
между IP адресом и MAC адресом, которая приведет в проблемам связи. Есть две
формы ARP мошенничества: 1. PC4 отправляет ARP сообщение чтобы сообщить, что IP
адрес PC2 привязан к MAC адресу PC4, это приведет к тому, что все IP пакеты,
адресуемые PC2, будут отправлены к PC4, таким образом PC4 сможет просматривать
все пакеты, адресованные PC2; 2. PC4 отправляет ARP сообщение чтобы сообщить, что
IP
адрес PC2 привязан к несуществующему MAC адресу, это приведет к тому, что PC2 не
будет получать адресованные ему пакеты.
В частности, если злоумышленник, прибегая к ARP мошенничеству, выдает себя за шлюз,
вся сеть выйдет из строя.
Схематичная диаграмма ARP GUARD
Мы используем фильтрующие элементы коммутатора для защиты ARP-записей важных
сетевых устройств от подражания другими устройствами. Основной теорией этого
является использование фильтрующих элементов коммутатора для проверки всех ARP
сообщений, проходящих через порт. Если адрес источника ARP сообщения защищен,
сообщения будут отброшены и не передадутся далее.
Функция ARP GUARD обычно используется для защиты шлюза от атак. Если все
доступные компьютеры в сети будут защищены функцией ARP GUARD, для этого
потребуется настроить на порту большое количество ARP GUARD адресов, что займет
большую часть FFP записей в чипе, и, как результат, может отразиться на других
приложениях. Так что это будет неправильно. Рекомендуется адоптировать свободные
ресурсы согласно схемы доступа. Пожалуйста, обратитесь за подробностями к
Коммутатор PC1
PC2
PC3
PC4 PC5 PC6
Концентратор A B C D